A la Wi-Fi de l’oficina i encara et demanen una VPN? Heus aquí per què

L’ordinador portàtil és a l’SSID corporativa, l’avís del certificat s’ha acceptat, i una aplicació web encara demana la VPN. Sembla feina doble, i de vegades ho és. Els dos inicis de sessió solen aplicar decisions diferents, i l’única manera de saber si el segon es guanya el lloc és preguntar què canvia.

Unir-se a una xarxa és una decisió d’admissió

Un desplegament 802.1X respon una pregunta: aquest dispositiu o usuari es pot connectar a aquesta xarxa? El punt d’accés passa les credencials a un servidor RADIUS, i la resposta pot portar atributs que situen la sessió en una VLAN concreta o apliquen un filtre. Això és admissió i segmentació, no autorització per a cap aplicació concreta.

Un cop admesa la sessió, l’enllaç sense fils s’encripta entre el client i el punt d’accés. La protecció s’acaba aquí, a la vora de la xarxa cablejada.

Tot el que hi ha més enllà d’aquest punt és encaminament ordinari dins de l’edifici, amb l’abast intern que el segment permeti.

Què protegeix realment EAP-TTLS

EAP-TTLS construeix un túnel TLS durant l’autenticació i hi executa un mètode intern. El mètode intern sovint és PAP, i la seva aparició en un disseny no vol dir que la contrasenya travessi l’aire en text pla, perquè és el túnel TLS qui la transporta. El client encara ha de verificar la identitat del servidor i confiar en la CA correcta, i un SSID familiar no és aquesta verificació. Llegeix l’elecció del mètode intern com un format de credencials, no com una afirmació sobre el xifratge exterior.

Això és un intercanvi d’autenticació, no un túnel de dades per al trànsit posterior de l’ordinador.

Quan l’autenticació acaba, el túnel TLS desapareix i els paquets del client viatgen pel segment admès. Confondre les dues coses és l’arrel de la creença que el xifratge Wi-Fi ja fa la feina de la VPN.

La VPN és una segona decisió, més estreta

Una VPN respon una pregunta diferent: a quins recursos privats pot arribar aquesta identitat, i en quines condicions? Acaba en una passarel·la amb política pròpia, comprovacions d’identitat pròpies i sovint requisits propis d’estat del dispositiu. El conjunt abastable quan el túnel s’aixeca sol ser més petit que la xarxa interna de l’edifici i específic del rol.

Per això un rol de manteniment es pot admetre a la Wi-Fi com tothom i tot i així necessitar un túnel per arribar a una subxarxa de gestió. La decisió de la Wi-Fi es va prendre al punt d’accés; aquesta es pren a la passarel·la.

Totes dues etapes poden estar xifrades i tot i així aplicar polítiques no relacionades.

On es trenca la confiança basada en la ubicació

Tractar la xarxa de l’oficina com a implícitament fiable falla per una raó simple: la ubicació de xarxa és una propietat de la connexió, no de la persona. La guia de confiança zero del NIST ho diu directament, i per això l’accés als recursos es decideix per petició i no per edifici. Qualsevol que s’uneixi a la mateixa SSID n’hereta la mateixa ubicació. També per això un portàtil compromès a la xarxa del personal mereix el mateix escepticisme que un a la xarxa de convidats.

La conseqüència pràctica és que l’autorització d’aplicacions encara ha d’existir. Una VPN que atorga tota una subxarxa, més una aplicació que confia en qualsevol petició d’aquesta subxarxa, és a una credencial d’un mal dia.

Cap de les dues capes substitueix l’altra, perquè responen preguntes en àmbits diferents.

Com saber si el segon inici de sessió es guanya el lloc

Pregunta al propietari de la xarxa dues coses: què esdevé abastable quan la VPN es connecta, i quines condicions d’identitat o de dispositiu es comproven per permetre-ho? Després verifica les respostes provant què respon realment. Si el túnel no canvia ni l’abast ni la garantia, pot ser un hàbit operatiu més que un control, i això és una decisió del propietari, no una cosa que un usuari hagi d’esquivar.

Busca també camins directes no previstos, perquè un recurs abastable sense el túnel fa el túnel decoratiu.

Documenta cada frontera i el seu propòsit, i la propera persona no haurà d’endevinar per què hi ha dos inicis de sessió.